Perguntas frequentes
Geral
-
O que é a Hacktron?
Uma empresa de segurança ofensiva nativa de IA criada por pesquisadores de segurança. O Red testa toda a sua organização, o Whitebox faz um pentest aprofundado de uma aplicação e o Review verifica cada pull request.
-
Como o Hacktron é diferente de um scanner?
Scanners apontam padrões que podem estar errados. O Hacktron raciocina sobre como um atacante exploraria seu código e só relata o que consegue provar que é explorável.
-
Quais vulnerabilidades o Hacktron encontrou?
Execução remota de código em PHP, Node.js e Metabase Cloud, um caminho até os repositórios internos da OpenAI e uma forma de fazer push no repositório upstream do Bash. Leia a pesquisa.
-
Quais linguagens o Hacktron suporta?
Qualquer linguagem. As abaixo recebem uma análise mais profunda e específica. A sua não está na lista? Agende uma demo e confirmaremos a cobertura.
- Python
- JavaScript
- TypeScript
- Go
- Java
- Ruby
- PHP
- Rust
- C
- C++
- C#
- Kotlin
- Swift
- Scala
- Elixir
- Solidity
Red
-
O que o red teaming com o Hacktron cobre?
Toda a superfície de ataque da sua organização, de forma contínua. O Hacktron mantém um modelo vivo dos seus serviços externos, autenticação, fornecedores SaaS, cadeia de suprimentos, recursos e componentes, e testa novos ativos assim que surgem.
-
Como ele é diferente de um pentest?
Um pentest testa um escopo fixo uma única vez. O red teaming roda o tempo todo, então novos ativos e vulnerabilidades recém-divulgadas são testados assim que surgem.
-
Os testes são seguros?
Sim. Ações destrutivas estão fora de questão, nossos pesquisadores monitoram os agentes, e paramos e entramos em contato se um teste puder afetar a disponibilidade.
-
Vocês verificam se as correções funcionam?
Sim. O Hacktron repete o ataque para confirmar que o caminho foi fechado.
-
Como ele é diferente de um bug bounty?
Um bug bounty paga pelo que pesquisadores externos relatam. O Red comprova caminhos de ataque completos de forma contínua, antes que virem incidentes ou pagamentos.
Whitebox
-
O que inclui um pentest de caixa branca?
Um pentest de uma aplicação a partir do código-fonte, com testes dinâmicos opcionais. Pesquisadores validam cada achado, e você recebe relatórios técnico e executivo, orientações de correção, uma carta de atestado e um reteste gratuito.
-
Os relatórios servem para SOC 2 ou ISO 27001?
Sim. Eles servem como evidência de pentest para SOC 2, ISO 27001 e revisões de segurança de clientes.
Review
-
Como o Hacktron revisa pull requests?
Ele publica um check de segurança e comenta as linhas afetadas de cada pull ou merge request. Comente
@hacktron reviewpara rodá-lo de novo e faça a triagem dos achados na thread.pkg/middleware/healthcheck.go
func isHealthCheckRequest(paths, userAgents map[string]struct{}, req *http.Request) bool {if _, ok := paths[req.URL.EscapedPath()]; ok {return true}if _, ok := userAgents[req.Header.Get("User-Agent")]; ok {return true}return false}hacktron-app Bot
High Authentication Bypass via Spoofable User-Agent Header in Health Check Middleware
The health check middleware in
oauth2-proxydetermines if a request should bypass authentication by checking if theUser-Agentheader matches a configured value (ping-user-agent). Since theUser-Agentheader is entirely controlled by the client, an attacker can spoof this header to match the configured value, thereby bypassing authentication for any arbitrary path. This allows unauthenticated access to the protected upstream service.Triage: Reply
!fp(false positive),!valid(confirmed), or!accepted_risk. Any other reply is saved as a triage note. -
O Hacktron pode corrigir o código para mim?
Só quando você pede. O Hacktron escreve a correção, roda seus testes e abre um pull request para sua equipe revisar. Ele nunca faz merge.
-
Quais plataformas de controle de código são suportadas?
GitHub, incluindo GitHub Enterprise Server, GitLab, Azure DevOps e Bitbucket.
-
Posso dar ao Hacktron contexto sobre meu código?
Sim. Adicione um arquivo
.hacktron/rules.mdou envie documentos de contexto. O feedback da triagem também o ensina.
Integrações
-
Com quais ferramentas o Hacktron funciona?
Slack para alertas, triagem e perguntas na thread: pergunte sobre uma mudança, verifique uma CVE nos seus repositórios ou prepare um pentest mencionando @Hacktron AI. Jira e Linear para tickets.
-
Existe uma API?
Sim. Uma API REST com chaves por organização, além de um servidor MCP e um assistente no Slack.
-
Posso exportar os achados?
Sim. Baixe relatórios executivos e técnicos, ou exporte os achados em CSV, SARIF ou JSON.
Implantação e acesso
-
Posso rodar o Hacktron on-premises?
Sim. A edição on-premises roda inteiramente na sua própria infraestrutura, inclusive em ambientes isolados da rede.
-
Como o Hacktron acessa meu código-fonte?
As análises na nuvem clonam seu repositório em um ambiente isolado e armazenam os achados, com os trechos de código relevantes, na sua conta. A edição on-premises mantém seu código no seu ambiente.
-
Meu código é usado para treinar modelos de IA?
Não. Nossos provedores de IA, OpenAI, Anthropic e Google, não podem treinar com os dados da Hacktron, e acordos de retenção zero garantem que eles não os armazenam.
-
Como faço login?
Com e-mail e senha, ou com login único SAML. Administradores podem exigir MFA para todos na organização.
-
O Hacktron está em conformidade com o SOC 2?
Sim. A Hacktron tem relatórios SOC 2 Type 1 e Type 2 da Insight Assurance. Solicite acesso na central de confiança.
Preços
-
Existe um teste gratuito?
Sim. O Review tem um teste gratuito de 14 dias.
-
Como o Hacktron é cobrado?
O Review por desenvolvedor por mês, o Whitebox por pentest conforme o tamanho do código e o Red por organização. Veja os preços.
-
O Hacktron é gratuito para código aberto?
Sim. Repositórios públicos elegíveis recebem o Review de graça. Inscreva-se na página de código aberto.